微软首次公开Windows漏洞的分类和处理方式

近日，微软首次向安全研究界公开发布了两份文件，详细介绍了其对Windows安全漏洞的分类和处理方式。

这些文件是由微软安全响应中心（MSRC）在过去一年中编辑整合而成，所谓“微软安全响应中心（MSRC）”是负责接收和处理微软安全相关漏洞报告的一个部门。

据悉，这两份文件的草稿已于今年6月份发布，目的是收集安全研究界和更广泛的安全行业的反馈信息。而本周一发布的则是包含大量最新信息的最终版本。

第一个文件是名为“微软的Windows安全服务标准”的网页。该页面涵盖的主要信息包括：哪些类型的Windows功能通常通过紧急的“周二补丁日”（Patch Tuesday）提供安全更新服务，以及哪些漏洞留给Windows主开发团队修复并在一年两次（bi-annual）的Windows操作系统更新中推出。

该文件将所有内容分为3大类：安全边界、安全功能以及纵深防御（defense-in-depth）安全功能。

其中，安全边界是那些微软认为明显违反数据访问策略的内容。例如，一个错误报告描述了非管理员用户模式进程如何获取内核模式和数据访问权限，该错误将被视为“安全边界”违规，在此情况下属“内核边界”。Microsoft列出了九个安全边界——网络、内核、进程、AppContainer沙箱、用户、会话、Web浏览器、虚拟机以及虚拟安全模式边界。

安全功能是应用程序和其他在操作系统里加强安全边界功能的漏洞报告，例如BitLocker、Windows Defender、Secure Boot等中的漏洞报告。

前两个的漏洞报告几乎都是被界定为“安全漏洞”，微软团队将通过每月的“周二补丁日”安全更新的即时补丁尝试修复这些漏洞。

最后一类——深度防御（defense-in-depth）安全功能，是微软认为鲁棒性（robustness）和前两个类别不在一个层次上，只是提供“额外安全性”的功能。深度防御安全功能包括用户帐户控制（UAC）功能、AppLocker、地址空间布局随机化（ASLR）、控制流保护（CFG）等等。

深度防御功能里的错误报告通常不会通过“周二补丁”提供更新服务，而是会被记录下来，并在稍后有需要的时候再提供补丁。

微软发布的第二份文件是一个PDF文档，该文档描述了微软如何将错误报告按严重性分级排名。该文档详细说明了哪些错误被评为严重、哪些被评为重要、哪些被评为中等以及哪些被评为低风险。

例如，允许未经授权访问文件系统并在磁盘上写入数据的错误被列为严重漏洞，而仅仅重启应用程序的拒绝服务错误就始终被视为低风险漏洞。

在过去几年里，微软多次被批评未能在研究人员提交漏洞报告后及时修复某些漏洞。

这些文档的目的是为安全研究人员、媒体、系统管理员以及普通用户澄清整个事情。就像其他任何公司一样，微软安全响应中心（MSRC）的资源也十分有限，该文档使信息安全社区可以深入了解微软工作人员在审视和确定安全漏洞优先级时所用到的流程。

对于发表的这两份文件，微软方面表示，我们希望这份文档会成为随着时间的推移而不断发展的‘活’文件，我们期待继续就此话题与安全社区进行对话。

关于微软公布的其对Windows安全漏洞的分类和处理方式原文地址：

https://www.microsoft.com/en-us/msrc/windows-security-servicing-criteria?rtc=1

https://query.prod.cms.rt.microsoft.com/cms/api/am/binary/RE2A3xt